Linux系统下如何来封杀非法IP地址

　　决定使用ARP绑定后，接下来就要考虑ARP的实现方法。ARP（Address Resolution Protocol）协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。如果所有非法用户都被赋予了错误的MAC地址，那么他们是无法通过这台服务器上网的。因此，ARP绑定要求必须将所有可能的IP地址全部与MAC地址绑定，才能够杜绝非法用户（当然，用户修改MAC地址除外）。 　 　　经过一番思索，确定了初步的构思。首先，用Linux Shell的循环方法生成一张包含从10.0.0.1到10.0.3.254的无效MAC地址匹配表，称之为全局表。然后根据DHCP服务器的数据得到一张合法用户的IP和MAC地址表，称之为合法表。接着，读取合法表中每个用户的IP，并在全局表中寻找匹配的IP，如果找到的话就用合法用户的MAC地址替换原来无效的MAC地址。最后，这张全局表中的合法用户匹配正确MAC地址，而非法用户匹配无效的MAC地址。只要用户把这张表写入系统ARP缓存，非法用户就不能通过简单的盗取IP方法来通过网关了。 　　实现 　　首先生成一张初始的全局表。它包含所有IP地址，每个IP地址与一个非法的MAC地址匹配。它的格式必须是arp命令能够识别的。初始化全局表的脚本为init，内容如下： 　　#!/bin/bash 　　ipprefix=10.0. 　　count1=0 　　while (( $count1 < 4 )) 　　do 　　 count2=1 　　 while (( $count2 < 255 )) 　　 do 　　 echo“$ipprefix$count1.$count2 00e000000001” 　　 let $count2 =1 　　 done 　　 let $count1 =1 　　done 　　写好后存档，用“chmod x init”命令使得脚本可执行。然后运行脚本init > arp，就可以将结果保存到当前目录的arp文件中。该文件就是10.0.0.1到10.0.3.254所有IP地址与MAC地址00e000000001绑定的ARP表，看上去该文件类似于下面这样： 　　10.0.0.1 00e000000001 　　10.0.0.2 00e000000001 　　10.0.0.3 00e000000001 　　10.0.0.4 00e000000001 　　10.0.0.5 00e000000001 　　... ... 　　需要注意的是，Shell脚本语法虽然和C语言类似，但对格式要求很严格，有些地方不能加空格，有些地方则必须加空格。比如let $count1 =1就不能写成let $count1 = 1；相反，while (( $count1 < 4 )) 也不能写成while (($count1/a\ $curRec’ -e‘/$curIP\>/d’$globalArp >$tmpArp” 　　 eval $replace然后用新的文件覆盖全局表文件，并将计数器加1，供下次循环 　　cp -f $tmpArp $globalArp 　　 let count =1 　　done 　　到此脚本结束。需要注意的地方有两个：第一，所有包含“eval”命令的语句，使用的都是反引号，也就是通常位于Tab键上面的那个引号，这样变量才能得到语句执行的结果，而非语句本身；第二，如果出现变量和其它字母在一起的情况，用双引号将变量包含，否则会出现错误的变量名，例如下面这条语句： 　　getValid=“sed -n‘“$count”p’$validArp” 　　如果不用双引号把变量$count包起来，Shell会认为用户的变量是$countp，而不是$count。 　　在执行完replace后，再查看arp文件，会发现其中所有在valid.arp文件中存在的IP和MAC地址对，其中的初始化MAC地址已被替换为正确的MAC地址。 　　最后，将得到的arp文件拷贝为/etc/ethers，在系统启动时运行“arp -f”，就可以实现IP和MAC地址匹配了。 　　总结 　　通过这件事不难发现，Linux继承了Unix的优秀传统，具备强大和完善的系统管理方法。只要用户掌握一些常用的命令与工具，就可以极大地提高系统管理效率，降低管理的工作强度。学习和掌握这些方法，是每个合格的Linux系统管理员都应该做到的。